Che cos'è un attacco DDoS?

Un attacco DDoS (Distributed Denial of Service) sommerge un server, un sito web o un'intera rete con così tante richieste che gli utenti legittimi non riescono più a passare. Si chiama distribuito perché non arriva da un singolo computer, ma contemporaneamente da centinaia fino a centinaia di migliaia di dispositivi compromessi, la cosiddetta botnet.

Come si svolge un attacco DDoS

All'inizio c'è la botnet. Gli aggressori infettano con software dannoso computer altrui, router, telecamere o server mal protetti e li comandano poi da remoto in modo centralizzato. I proprietari di solito non se ne accorgono. Al segnale convenuto, tutti questi dispositivi inviano richieste simultanee allo stesso bersaglio.

L'effetto si manifesta nel punto più debole: o la connettività è satura, oppure CPU e RAM del sistema bersaglio sono occupate a rispondere alle richieste. In entrambi i casi il servizio non è più raggiungibile per gli utenti reali. Proprio per questo le regole firewall sul server spesso arrivano troppo tardi: diventano efficaci solo quando i pacchetti hanno già attraversato la linea.

Tipi di attacco più frequenti

• Attacchi volumetrici: UDP flood e schemi simili, che saturano semplicemente la larghezza di banda. La misura è in Gbit/s.
• Attacchi ai protocolli: SYN flood e state exhaustion, che riempiono le tabelle di connessione di server, firewall e load balancer. La misura è in pacchetti al secondo.
• Attacchi a livello applicativo (Layer 7): HTTP flood, ricerche costose, login flood. Consumano poca banda e assomigliano molto al traffico reale.
• Exploit specifici dei giochi: Nullping, QuietException o fake handshake flood contro i game server, che abusano della fase di connessione invece di riempire la linea.

Che cos'è un attacco di amplificazione?

In un attacco di amplificazione (amplification attack) l'aggressore usa come amplificatori servizi altrui raggiungibili pubblicamente. Invia piccole richieste a server DNS, NTP o Memcached aperti e vi inserisce come mittente l'indirizzo IP della vittima. Le risposte sono molte volte più grandi delle richieste e finiscono tutte alla vittima.

Da pochi megabit di traffico d'attacco nascono così in fretta centinaia di gigabit. Per l'aggressore è economico, per il bersaglio devastante, e il vero mittente resta nascosto.

Perché gli indirizzi IP falsificati funzionano così bene?

Con l'IP spoofing l'aggressore inserisce nei pacchetti un indirizzo mittente falso. Questo ha due effetti. Primo: la sorgente non si lascia più bloccare con facilità, perché ogni richiesta sembra arrivare da un indirizzo diverso e completamente inventato. Secondo: lo spoofing è il presupposto degli attacchi di amplificazione, perché altrimenti le risposte dei servizi abusati non arriverebbero mai alla vittima.

Contro il traffico falsificato le blocklist non servono a nulla. Serve un filtraggio che valuti il comportamento del traffico e scarti i pacchetti falsificati prima che raggiungano il bersaglio.

Perché viene attaccato proprio il mio server?

I motivi sono raramente tecnici. Nella pratica vediamo soprattutto questi schemi:

• Concorrenza: un altro network di gaming, un altro shop o un altro server Discord vuole i tuoi utenti.
• Vendetta: un giocatore bannato, un dipendente licenziato o un cliente arrabbiato.
• Estorsione: un attacco breve come avvertimento, accompagnato da una richiesta di riscatto.
• Vandalismo: i servizi di attacco prenotabili costano pochi euro, quindi la soglia di inibizione è molto bassa.

Per la difesa il motivo è irrilevante. Conta che la protezione sia permanentemente attiva e non debba essere acquistata o accesa quando l'attacco è già in corso.

Che cosa aiuta davvero contro gli attacchi DDoS?

Una protezione efficace sta nella rete a monte del server, non sul server stesso. Per questo KernelHost gestisce una protezione continua su due livelli: la capacità di filtraggio globale è di 17 Tbps e intercetta gli attacchi volumetrici vicino alla loro origine. Direttamente davanti al server a Frankfurt lavora il filtraggio in tempo reale Arbor con 3,2 Tbps, che rimuove pacchetto per pacchetto gli schemi complessi e specifici dei protocolli.

Un punto importante: non viene usato il null routing. Con il null routing l'IP sotto attacco verrebbe tolto del tutto dalla rete, il server sarebbe offline e l'aggressore avrebbe raggiunto il suo scopo. Invece l'IP resta raggiungibile e cadono soltanto i pacchetti dannosi. La protezione è compresa in ogni pacchetto server: le tariffe Standard indicano 3,2 Tbps, quelle Professional 17 Tbps.

Restano comunque utili il monitoraggio, il software aggiornato, porte aperte con parsimonia e rate limit nell'applicazione. Trovi una panoramica passo passo nell'articolo Proteggere il server dagli attacchi DDoS. Come funziona tutto questo nello specifico per game server e voice server lo spiega Protezione DDoS in tempo reale per game server.

Casi pratici: attacchi realmente respinti

Gli attacchi qui elencati hanno colpito server di clienti KernelHost e sono stati filtrati integralmente in tempo reale, ogni volta senza alcuna interruzione. Gli screenshot provengono dal monitoraggio live della difesa.

Voice server TeamSpeak 3, porta 9987 UDP

Attacco complesso con più schemi di attacco simultanei, oltre 473,4 Gbit/s e oltre 41,5 milioni di pacchetti al secondo. Filtrato in tempo reale, senza downtime.

Game server ARK, porta 7777 UDP

UDP flood semplice, senza struttura complessa, ma con oltre 112,2 Gbit/s e oltre 8,7 milioni di pacchetti al secondo. Filtrato in tempo reale, senza downtime.

Attacco su tutte le porte, porte 0-65535 TCP/UDP

Oltre 12 schemi di attacco principali diversi contro tutte le porte contemporaneamente, in totale oltre 21,3 Gbit/s e oltre 3,9 milioni di pacchetti al secondo. Filtrato integralmente in tempo reale.

Minecraft e OpenVPN, porte 25565 TCP e 1194 UDP

Attacco combinato con oltre 16 schemi di attacco principali diversi, oltre 4 milioni di pacchetti al secondo e oltre 8,6 Gbit/s. Entrambi i servizi sono rimasti raggiungibili per tutta la durata.